Definition von Datenschutz an Schulen
Zu den personenbezogenen Daten einer Schule gehören Namen und Adressen, Noten und Zeugnisse, Fehlzeiten, Fotos und Nachrichten an Eltern. Angaben zur Gesundheit, etwa aus ärztlichen Attesten, zählen zu den besonders geschützten Daten.
Im engeren Sinn regelt der Datenschutz, ob und wofür eine Schule solche Daten verarbeiten darf. Die Datensicherheit umfasst die technischen und organisatorischen Maßnahmen, die sie schützen, etwa Verschlüsselung und Zugriffsrechte.
Rechtsgrundlagen und Grundsätze
Maßgeblich sind die Datenschutz-Grundverordnung, kurz DSGVO, die Datenschutzgesetze der Länder und ihre Schulgesetze. Zusammen legen sie fest, welche Daten eine Schule für ihren Bildungsauftrag verarbeiten darf.
Für alles, was über diesen Auftrag hinausgeht, braucht die Schule in der Regel eine Einwilligung. Sie ist freiwillig und muss sich so leicht widerrufen lassen, wie sie erteilt wurde.
Grundsätze der DSGVO
Jede Verarbeitung muss diesen Grundsätzen folgen:
- Rechtmäßigkeit und Transparenz: Die Schule verarbeitet Daten nur mit Rechtsgrundlage und informiert die Betroffenen verständlich.
- Zweckbindung: Daten, die für einen Zweck erhoben wurden, nutzt die Schule nicht ohne Weiteres für einen anderen.
- Datenminimierung: Erhoben wird nur, was für die Aufgabe nötig ist.
- Richtigkeit: Die Daten müssen stimmen, und falsche Angaben werden berichtigt.
- Speicherbegrenzung: Daten werden gelöscht, sobald die Schule sie für ihren Zweck nicht mehr braucht.
- Integrität und Vertraulichkeit: Die Schule schützt die Daten vor unbefugtem Zugriff, Veränderung und Verlust.
- Rechenschaftspflicht: Die Schule muss nachweisen können, dass sie diese Grundsätze einhält.
Rollen und Verantwortung
Verantwortlich im Sinne der DSGVO ist in der Regel die Schule, vertreten durch die Schulleitung. Lehrkräfte und Verwaltung verarbeiten Daten für die Schule und sind zur Verschwiegenheit verpflichtet.
Öffentliche Schulen brauchen Datenschutzbeauftragte, die sie beraten und prüfen, ob die Regeln eingehalten werden. Eine Person kann für mehrere Schulen zuständig sein.
Verarbeitet ein Dienstleister Daten im Auftrag der Schule, etwa als Anbieter einer Schulsoftware, schließen beide einen Vertrag zur Auftragsverarbeitung. Die Schule bleibt dabei verantwortlich.
Rechte der Betroffenen und Datenpannen
Schüler, Eltern und Beschäftigte haben unter anderem ein Recht auf Auskunft über ihre Daten, auf Berichtigung und auf Löschung. Die Schule muss innerhalb eines Monats antworten; bei schwierigen Anträgen kann sich die Frist verlängern.
Löschen kann die Schule nur, was keiner Aufbewahrungspflicht mehr unterliegt. Wie lange etwa Zeugnisse oder Schülerakten aufbewahrt werden, regeln die Länder.
Gehen Daten verloren oder gelangen sie an Unbefugte, meldet die Schule die Panne unverzüglich der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich zu keinem Risiko für die Betroffenen. Bei hohem Risiko informiert sie auch die Betroffenen selbst. Dokumentieren muss die Schule jede Panne, auch wenn keine Meldung nötig ist. Dieser Überblick ersetzt keine Rechtsberatung.
Datenschutz im Schulalltag
Führen Sie ein Verzeichnis darüber, welche Daten Ihre Schule wofür und mit welchen Programmen verarbeitet.
Geben Sie jeder Rolle nur Zugriff auf die Daten, die sie für ihre Aufgaben braucht.
Bestimmen Sie, wie lange Sie welche Daten aufbewahren, und löschen Sie sie danach.
Klären Sie vor der Einführung mit Ihrem Datenschutzbeauftragten, wo die Daten liegen und ob eine Datenschutz-Folgenabschätzung nötig ist.
Datenschutz bei OhayoSchool
OhayoSchool verarbeitet die Daten Ihrer Schule als Auftragsverarbeiter, und der Vertrag zur Auftragsverarbeitung ist Teil jedes Nutzungsvertrags. Alle Daten liegen auf dedizierten Servern in Deutschland und werden verschlüsselt gespeichert und übertragen.
Das Team von OhayoSchool greift auf das Konto Ihrer Schule nur zu, wenn Sie es für eine Anfrage freigeben. Der Zugriff ist befristet und zunächst nur lesend, und jede Sitzung steht in einem Protokoll, das Ihre Schule einsehen kann. Ohne Freigabe greift OhayoSchool nur bei einem Sicherheitsvorfall zu und benachrichtigt Ihre Schule sofort.
Ein Lernprofil entsteht erst, wenn die Erziehungsberechtigten eingewilligt haben. OhayoSchool pseudonymisiert Lernprofile und Übungsdaten. Die Sprachmodelle laufen auf eigenen Servern, und keine Anfrage geht an externe KI-Anbieter.
Für die Pflichten Ihrer Schule enthält OhayoSchool diese Werkzeuge:
- Legen Sie selbst fest, welche Rolle welche Daten sieht und ändert, und sehen Sie im Protokoll jede Änderung an den Schuldaten.
- Beantworten Sie Anträge auf Auskunft und Löschung in OhayoSchool. Löschungen setzt OhayoSchool um, indem es die Einträge der Person anonymisiert.
- Halten Sie Einwilligungen für jede Art der Verarbeitung fest, einschließlich aller Widerrufe.
- Passen Sie die Aufbewahrungsfristen in OhayoSchool an die Vorgaben Ihres Landes an.
- Erfassen Sie jede Datenpanne und sehen Sie in einer Übersicht, wie weit ihre Bearbeitung ist.
- Verbinden Sie Eltern über einen persönlichen Code mit ihrem Kind, den Sie per Brief oder E-Mail verschicken. Anfragen ohne Code gibt Ihr Sekretariat frei, und jede Verknüpfung können Sie widerrufen.
- Jeder Nutzer kann die Daten seines eigenen Kontos herunterladen.
Häufige Fragen
Darf eine Schule Fotos von Schülern auf ihre Website stellen?
In der Regel nur mit Einwilligung. Wer bei Minderjährigen einwilligt, hängt vom Alter und von den Vorgaben des Landes ab.
Wann braucht eine Schule eine Datenschutz-Folgenabschätzung?
Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, etwa beim Einsatz neuer Technologien. Die Folgenabschätzung beschreibt die Verarbeitung mit ihren Risiken und legt fest, wie die Schule diese begrenzt.
Was kosten die Datenschutzwerkzeuge von OhayoSchool?
Die Werkzeuge für den Datenschutz sind Teil des Pakets Verwaltung und im Preis pro Schüler und Monat enthalten. Konten für Lehrkräfte, Sekretariat und Schulleitung kosten nichts extra. Zu den Preisen